Як працює Аналізатор шахрайських листів

Аналізатор шахрайських листів дозволяє завантажити один файл .msg або .eml (до 5 МБ) і одразу отримати на екрані вердикт — Безпечний, Підозрілий, Небезпечний або Невідомий — разом із короткими висновками. За один раз можна надіслати лише один файл; другий файл у тому ж запиті відхиляється з повідомленням “Only a single file may be uploaded”. Файли іншого типу відхиляються з повідомленням “Only .msg and .eml files are supported”, а файли, які не вдається прочитати, повертають “Could not parse this file — it may be corrupted or password‑protected”.

Ліміти використання

Безкоштовні користувачі можуть проаналізувати до п’яти файлів щодня, у той час як платна підписка підвищує ліміт до п’ятнадцяти. При досягненні ліміту інструмент показує діалог, що порівнює безкоштовний і преміум‑тарифи. Після відображення результату ви можете розпочати новий аналіз, натиснувши кнопку “Analyze Another File”, яка скидає інтерфейс.

Визначення вердикту

Вердикт починається з Безпечний і підвищується – ніколи не знижується – згідно з найсерйознішим виявом у листі. Чотири можливі результати:

• Безпечний: жодні технічні або AI‑запускані вияви не підвищили рівень.
• Підозрілий: принаймні один вияв ступеня Підозрілий (наприклад, невдача SPF, підозріла назва вкладення, невідповідність відображуваного посилання).
• Небезпечний: будь‑який вияв ступеня Небезпечний (наприклад, невдача DKIM або DMARC, документ Office із макросами, протиріччя між тілом листа та вкладенням, AI‑виявлена підміна особи).
• Невідомий: AI‑огляд не зміг сформувати рішення і жодна технічна перевірка не дала результату.

Кожному вердикту супроводжують короткі теги, що називають перевірки, які його спровокували. Коли рішення приймає лише AI, тег — ai-flagged; коли AI просто не має достатньо даних, тег — inconclusive. Розкривний повний звіт містить зрозуміле пояснення та список усіх окремих виявів, позначених їхньою серйозністю (Інформаційний, Підозрілий, Небезпечний) та джерелом (технічна перевірка або AI‑огляд).

Технічні перевірки

Автентифікація відправника

Аналізатор читає результати SPF, DKIM і DMARC, які вже були зафіксовані сервером отримувача. Живі DNS‑запити не виконуються. Невдача DKIM або DMARC розцінюється як Небезпечний, невдача SPF — як Підозрілий, а відсутність будь‑якого запису автентифікації повідомляється як “not verifiable” без впливу на вердикт. Якщо існує кілька записів, використовується той, що найближчий до одержувача, і його сервер‑джерело показується у звіті.

Перевірка вкладень

Назви файлів вкладень скануються на 22 відомих розширення виконуваних файлів або скриптів (наприклад, .exe, .js, .vbs, .bat, .ps1, .jar, .msi, .hta, .lnk, .reg). Збіг позначається як Підозрілий. Подвійні розширення, такі як invoice.pdf.exe, явно повідомляються як “a common technique to disguise executables as documents”. Файли Office з макросами (.docm, .xlsm, .pptm) також позначаються Підозрілий. Інструмент порівнює реальний підпис файлу з заявленим розширенням; невідповідність повідомляється як Підозрілий з вказанням як заявленого, так і виявленого типу. Сучасні архіви Office (.docx, .xlsx) правильно розпізнаються і не позначаються як підроблені архіви. Вміст вкладень ніколи не залишає сервер і не передається AI‑моделі; AI отримує лише назву файлу та заявлений тип.

Перевірка посилань

Кожне посилання в тілі листа перевіряється на розбіжність між відображуваною адресою та фактичною цільовою URL‑адресою. Якщо видимий текст схожий на веб‑адресу або домен, і вони різняться, посилання позначається як Підозрілий і показуються обидва хости. Прості заклики типу “Click here” не активують цю перевірку, забезпечуючи, що звичайні кнопки не позначаються. Посилання ніколи не відкриваються і зовнішні служби репутації не залучаються.

AI‑огляд

Окрім технічних перевірок, один AI‑огляд аналізує тему, текст листа, адресу відправника, відображуване ім’я відправника, список вкладень та всі технічні результати. AI шукає розбіжності в іменах, брендові тайпсквотінги, схожі домени та протиріччя між заявленими та реальними вкладеннями. Будь‑яке протиріччя між тілом листа та вкладенням автоматично класифікується як Небезпечний. AI генерує просту зрозумілу розповідь для початку повного звіту, орієнтовану на нетехнічних користувачів. Якщо AI‑огляд не може бути завершений, але технічні перевірки вже дали результати, показується технічний вердикт з приміткою, що AI‑аналіз був недоступний. Якщо AI не працює і технічних виявів немає, запит завершується помилкою замість хибного “Safe” результату.

Прозорі обмеження

• Відсутність живої пере‑перевірки SPF, DKIM чи DMARC записів.
• Документи з макросами позначаються, але їхній код не витягується і не аналізується.
• Вкладення ні коли не виконуються, ні не відкриваються в пісочниці, ні скануються антивірусом.
• Посилання аналізуються лише як текст; їх не відкривають і не використовують базу репутації.